個人情報漏えいと不正アクセスが相次ぐのはなぜ？2026年秋の事例と確認したいこと

「また情報が漏れたの？」「使っているサービスが止まっていて心配」。2026年秋、不正アクセスや個人情報漏えいのニュースが続いています。「ひとやすみっけ」のかおかーさんです。身近なサービスの名前を見ると、自分や家族への影響が気になりますよね。

ただ、不正アクセスがあったことと、個人情報が漏れたことは同じではありません。この記事では、2026年10月19日までに確認した公式発表をもとに、8〜10月に公表・更新された事例を整理し、相次ぐ背景と家庭でできる対応を紹介します。

個人情報漏えいと不正アクセスは何が違う

不正アクセスは、権限のない第三者がシステムなどに入り込むことです。その結果、情報を盗まれる場合もありますが、不正アクセスが確認されても、個人情報の流出が確認されない事例もあります。

一方、情報漏えいは、本来外に出してはいけない情報が漏れること。不正アクセスのほか、メールの誤送信などでも起こります。「緊急メンテナンス中」「サービス停止中」という案内だけで、漏えいしたと判断することもできません。

漏えいや不正取得が確認された身近なサービス

まずは、公式発表で情報の流出や第三者による取得が確認された事例です。以下の日付は公表日や続報の日付で、必ずしも攻撃が起きた日ではありません。件数や対象情報は、確認した発表時点の内容です。

サービスと公表時期	確認された内容と対象
コミックシーモア 10月16日公表	一部会員情報の流出を確認。メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームが対象。件数は精査中。
タイムズカー 9月25日第一報 9月28日第二報	約660万アカウントの情報漏えいを公表。氏名や住所などに加え、対象者によって運転免許情報や本人確認書類情報も含む。退会済みの人なども対象。
郵便局アプリ 9月29日公表	69件・19名分の情報の不正取得を確認。会員情報、住所録、送り状情報などが対象で、含まれる項目は人によって異なる。
イープラス 9月29日公表	スマチケの払戻しに関する1,463件の情報漏えいを確認。メールアドレスやカナ氏名などで、返金方法によって振込先口座情報や住所を含む。
ローソン 10月8日公表	ローソンIDの215万5,345件と、ローソンアプリ予約の26件で漏えいを確認。前者はメールアドレス・氏名など、後者は氏名・電話番号・カード番号の一部。
ソースネクスト 10月15日公表	会員情報の流出を確認し、範囲を調査。流出した可能性のある情報は2,251万9,960件。メールアドレス、パスワード、氏名、住所などで、登録状況により異なる。
Eストアーのショップサーブ 8月1日第一報 10月16日最終報告	購入者情報などの漏えいを確認。対象店舗は過去の利用店舗も含む7,858店。氏名、住所、電話番号、メールアドレスなどが対象で、対象者により異なる。

「件」「アカウント」「名」「店舗数」は、それぞれ違う単位です。同じ人が複数のサービスを使っている場合もあるため、数字を足して被害人数とはできません。また、表に載ったサービスの全利用者が対象とは限りません。

漏えいの可能性として公表された事例

次は、確認した発表で「漏えいの可能性」が示されている事例です。可能性という表現は、何も起きていないという意味ではありません。ただし、対象情報がすべて外部に持ち出されたと確定した事例とも区別する必要があります。

サービスや組織	公表内容と時期
佐川急便 お荷物問い合わせサービス	9月30日に発覚。10月9日の第四報では、送り主・届け先、運賃契約者、スマートクラブ登録者の情報が対象となる可能性を説明。件数や範囲は調査中。
チューリッヒ保険会社 Z-Dash	8月27日公表。最大1,668名の氏名、メールアドレス、事案管理番号が漏えいした可能性。不正アクセスは4月1日・6日で、8月の調査をきっかけに確認。
デジタル庁 ガバメントソリューションサービス	9月11日公表。利用機関の職員や業務に携わった人の氏名、メールアドレスなど約24.6万件が漏えいした可能性。6月に異常を検知し、7月に不正アクセスと判明。

チューリッヒの事例では、ドライブレコーダーの映像やカード・口座情報は対象外です。デジタル庁の事例も、国民全般の情報が対象という発表ではありません。企業や組織の名前だけでなく、対象となった機能や利用者まで確認したいところです。

えきねっとは続報で漏えいなしと判断

新幹線などの予約に使う「えきねっと」も、情報漏えいの可能性がニュースになりました。JR東日本は10月9日、メール配信用外部サービスの問題に伴い、えきねっとと大人の休日倶楽部の情報が漏れた可能性を公表しています。

ただし、10月15日の更新では、外部サービス会社から個人情報の漏えいがなかったと判断したとの報告を受けたと説明しています。当初の対象規模だけを取り上げて「情報が流出した」と掲載すると、続報を反映しない記事になってしまいます。

大きく報じられた最初のニュースは覚えていても、その後のお知らせまでは目に入らないことがありますよね。こうした事例があるからこそ、わたしは件数だけでなく、発表がいつ更新されたかも一緒に確認したいと思います。

Rentaの不具合を情報漏えい？

Renta!は10月18日のお知らせで、一部の利用者について、レンタル・購入中の作品が閲覧できない、スタンプページが開かないといった不具合を案内しています。影響範囲と原因を調査しているという内容です。

この記事で確認できた公式案内では、不正アクセスや個人情報流出が起きたとは発表されていません。コミックシーモアの件と時期が近くても、同じ原因だと判断できる根拠はなく漏えい事例の一覧には含めていません。

情報漏えいと不正アクセスが相次ぐ背景

IPAは10月9日、幅広い事業者で不正アクセスによる漏えい事案の公表が続いているとして、対策を呼びかけました。JPCERT/CCも複数の攻撃手口を示しており、一つの製品の問題や同一の原因だけで説明できる状況ではありません。

狙われるのは、利用者向けのログイン画面だけではありません。プログラムの安全上の弱点や、システム同士で情報をやり取りするAPI、社内の管理システムなども関係します。利用者が怪しいメールを開かなくても、預けた情報が被害に遭う場合があります。

さらに、複数のお店が共通の基盤を使い、大量の情報を預けていると一つの被害が広く影響する場合があります。個人情報保護委員会は、不要になった情報の消去が徹底されず、被害が深刻化する例にも注意を促しています。

発表日と発生日が違うことにも注意

10月にニュースを見たとしても、その月に新しい攻撃が始まったとは限りません。ショップサーブの攻撃期間は5月21日〜8月1日で、10月16日の公表は調査を終えた最終報告でした。

一方、イープラスは9月11日〜12日、ローソンは9月、ソースネクストは10月9日からの不正アクセスを公表しています。過去の被害の続報と、新たな被害の発表が同じ時期に並んでいるため、見出しの本数だけでは事件の発生数を判断できません。

お知らせが届いたら対象情報から対応を考える

まず確認したいのは、自分が対象か、どの情報が含まれるか、会社から何を案内されているかです。漏えいのお知らせを受け取ったことと、カードの不正利用などの二次被害が起きたことも、分けて考えましょう。

対象となる情報	確認したい対応
氏名やメールアドレス	企業を装う連絡に注意し、公式のお知らせで対象範囲を確かめる。
IDやパスワード	公式の案内に沿って変更する。同じパスワードを使う別のサービスも見直す。
カードや口座の情報	漏えい項目と利用明細を確認する。不審な取引があればカード会社や金融機関へ相談する。
本人確認書類の情報	事業者の対象者向け案内を確認する。不審な契約などに気づいた場合は、関係する事業者や警察へ相談する。

コミックシーモアは、同じメールアドレスとパスワードの組み合わせを他社でも使っている場合、念のため変更するよう案内しています。ハッシュ化されたパスワードが対象でも、自己判断で対応不要とせず、サービス側の説明を確認してください。

警察庁は、情報漏えいを口実に偽サイトへ誘導する手口も紹介しています。届いたリンクから急いで入力せず、公式アプリなどから確認を。多要素認証も活用し、認証コードは相手が誰を名乗っていても教えないようにしましょう。

家族で一つずつ確認して不安を抱え込まない

通販やチケット、移動の予約まで、家族の暮らしにはさまざまなサービスが関わっています。全部の発表を読み込もうとすると疲れてしまいますよね。まずは使ったことがあるサービスの対象範囲と、必要な対応から確認してみてください。

情報を預けた人だけが責任を背負う話ではありません。事業者には確かな管理とわかりやすい説明を求めながら、わたしたちはできる備えを少しずつ。必要な確認を済ませたら、スマートフォンを置いて、ひと息つく時間も大切にしたいですね。